Hintergrund
Von der Empfehlung zur gesetzlichen Pflicht
NIS2 ist die EU-Richtlinie zur Cybersicherheit, und sie erweitert den Kreis der betroffenen Unternehmen gegenüber der ursprünglichen NIS-Richtlinie deutlich: von Energie, Transport und Finanzen bis hin zu Lebensmitteln, Abfallwirtschaft, Produktion und digitalen Diensten. Die nationale Umsetzung ist in den EU-Mitgliedstaaten angelaufen, und die Aufsicht über die betroffenen Sektoren hat begonnen.
Zwei Dinge unterscheiden NIS2 von früherer Regulierung: die Leitungsverantwortung – die Leitung muss das Risikomanagement selbst freigeben und kann die Verantwortung nicht wegdelegieren – und Sanktionen, die spürbar sind. Cybersicherheit ist damit von der IT-Abteilung in die Chefetage gewandert.
Was verlangt NIS2 von der Zugriffssteuerung?
Artikel 21 der Richtlinie listet die Mindestmaßnahmen auf, die alle betroffenen Unternehmen umsetzen müssen. Mehrere davon betreffen direkt Identitäten und Zugriffe: Richtlinien für die Zugriffskontrolle, Verwaltung von Assets, Einsatz von Multi-Faktor-Authentifizierung und Personalsicherheit, also die Prozesse rund um Eintritt, Rollenwechsel und Austritt.
Allen Anforderungen ist gemeinsam: Es genügt nicht, eine Richtlinie in einem Ordner liegen zu haben. Sie müssen nachweisen können, dass die Kontrollen in der Praxis wirken: Wer hat worauf Zugriff? Warum? Und wann wurde das zuletzt überprüft?
Checkliste
Fünf Fragen, die Sie beantworten können müssen
- Überblick: Können Sie eine aktuelle Übersicht darüber vorlegen, wer Zugriff auf Ihre kritischen Systeme hat?
- Lebenszyklus: Werden Zugriffe automatisch geschlossen, wenn Mitarbeitende ausscheiden oder die Rolle wechseln?
- Genehmigung: Steht hinter jeder Zugriffsvergabe ein dokumentierter Eigentümer und Genehmiger?
- Überprüfung: Gehen Sie Zugriffe in festen Intervallen durch und rezertifizieren sie?
- Privilegierte Konten: Sind Administratorzugriffe erfasst, begrenzt und überwacht?
Hier kommt IGA ins Spiel
In einer kleinen Organisation lassen sich die Fragen vielleicht mit manuellen Prozessen und Disziplin bejahen. Aber manuelle Prozesse sind über die Zeit schwer zu dokumentieren, und genau nach dieser Dokumentation fragen Aufsicht und Prüfer.
Hier setzt Identity Governance & Administration (IGA) an. Eine IGA-Lösung automatisiert On-, Um- und Offboarding auf Basis von HR-Daten, setzt Genehmigungsflows durch und produziert die Dokumentation als Nebenprodukt des täglichen Betriebs – statt als Feuerwehreinsatz vor dem Audit.
Wo stehen Sie in Bezug auf NIS2?
Unser IAM Maturity Assessment liefert ein dokumentiertes Bild Ihrer Zugriffssteuerung – und eine Roadmap, was zuerst angegangen werden sollte.
